Print
Verslaggeving over ‘in-control’ door Nederlandse beursvennootschappen
expand article infoJos de Groot, Steven Hijink§
‡ PwC, Amsterdam, Netherlands
§ Radboud Universiteit, Amsterdam, Netherlands
Open Access

Samenvatting

De onderwerpen ‘in control’ en de ‘in-control statement’ worden in de praktijk op verschillende manieren geïnterpreteerd en uitgelegd. Tegelijkertijd is in het afgelopen jaar vanuit verschillende invalshoeken (hernieuwde) belangstelling getoond voor nieuwe regelgeving voor verslaggeving over ‘in-control’ zijn. Dit praktijkonderzoek van 91 jaarverslagen over 2019 van Nederlandse beursvennootschappen toont aan dat de bestuursverklaring uit de Code 2016 op alle vier de sub-elementen voor het overgrote deel wordt gevolgd door de AEX-, AMX- en AScX-fondsen. Bij de lokale beursvennootschappen behorende tot de overige-fondsen is dat significant lager. Van de 91 onderzochte beursvennootschappen nemen er 41 in het bestuursverslag 2019 een expliciete ‘in-control verklaring’ over het effectief functioneren van de interne risicobeheersings- en controlesystemen op, ondanks dat dit sinds de Code 2016 niet meer wordt voorgeschreven. Consistentie is in de ‘in-control verklaringen’ ver te zoeken; ze zijn een cocktail van toepassing van de best practice bepalingen uit de Code 2003, de Interpretatie Frijns (MCCG 2005), de Code 2008 en het Herzieningsvoorstel Code 2016 (MCCG 2016a).

Trefwoorden

In-control verklaring, Bestuursverklaring, In-control statement

Relevantie voor de praktijk

Diverse partijen in Nederland pleiten voor nieuwe regelgeving voor verslaggeving over het ‘in control’ zijn. Uit ons praktijkonderzoek blijkt dat de consistentie in de ‘in-control verklaringen’ ver te zoeken is. In het toekomstige debat over eventuele nieuwe regelgeving dient, naast de wat-vraag, de hoe-vraag en de wie-vraag, ook de waarom-vraag nadrukkelijk aan de orde te komen.

1. Inleiding

De onderwerpen ‘in control’ en de ‘in-control statement’ worden in de praktijk op verschillende manieren geïnterpreteerd en uitgelegd. Soms wordt de ‘in-control statement’ eng opgevat in de betekenis van een conclusie over adequate opzet en/of effectieve werking van een intern risicobeheersings- en controlesysteem. Soms wordt het onderwerp juist breed opgevat als risicoverslaggeving over het gehele spectrum van risicofactoren en risicomanagement systemen (De Groot 2010, p. 38).

Het afgelopen jaar is hernieuwde aandacht ontstaan voor verslaggeving van Nederlandse beursvennootschappen over ‘in control’ zijn. Zo deed de Commissie Toekomst Accountancysector (hierna: CTA) in januari 2020 de aanbeveling (Aanbeveling 16) om: ‘de verantwoordelijkheid van de gecontroleerde entiteit voor de opzet en de werking van de risicobeheersings- en controlesystemen meer tot uitdrukking te laten brengen. De wijze waarop dient onderwerp te zijn van nader onderzoek.’ (CTA 2020, p. 9)

Terzijde merken wij op dat deze aanbeveling overigens een afzwakking vormt van de voorlopige bevindingen zoals die waren opgenomen in het Interim-rapport CTA 2019 (hierna CTA 2019). Daarin werd (nog) opgemerkt dat ‘het bestuur zou naar Amerikaans voorbeeld een ‘in-control statement’ [zou] moeten afgeven, te controleren door de accountant.’ (CTA 2019, p. 83) In haar eindrapport (CTA 2020) merkt de CTA op, ondanks de afzwakking van de aanbeveling, nog steeds voorstander te zijn van controle door de accountant van een nader in te vullen ‘in-control verklaring’, maar dat de uitwerking hiervan nog wel nader onderzoek vergt: ‘Hierbij dient aandacht te zijn voor de mogelijkheid om een dergelijke verklaring te operationaliseren (het bestuur moet in staat zijn een dergelijke verklaring gefundeerd af te geven), de mogelijkheid voor de accountant om een dergelijke verklaring te controleren (er moeten geen onrechtvaardigde verwachtingen ten aanzien van de inhoud van de controle worden geschapen) en de proportionaliteit (niet voor alle ondernemingen ligt een dergelijke eis voor de hand).’ (CTA 2020, p. 98)

Ook buiten Nederland bestaat hernieuwde aandacht voor verslaggeving over ‘in control’, onder meer in het Verenigd Koninkrijk (hierna: VK) in het Kingman Report (2018) en het Brydon Report (2019). Recent, in september 2020, sloot de Nederlandse Beroepsorganisatie van Accountants (hierna: NBA) zich bij deze buitenlandse ontwikkelingen aan in een brief aan de Tweede Kamer (NBA 2020b, p. 3). Kort daarvoor had de NBA bij het Ministerie van Financiën al gepleit voor invoering, bij beursvennootschappen en mogelijk ook bij andere aan te wijzen vennootschappen met een omzet boven EUR 2 miljard, van een wettelijke verplichting om een uitspraak te doen over de robuustheid van hun interne controls. Dit ‘in-control statement’ zou door een externe accountant moeten worden gecontroleerd (NBA 2020a, p. 2).

De hierboven, kort, genoemde (hernieuwde) aandacht voor verslaggeving over ‘in control’ vormt aanleiding voor dit praktijkonderzoek. Daarbij hanteren wij in dit artikel de benadering dat het verantwoorden over ‘in control’ in de externe verslaggeving conceptueel bezien bestaat uit drie met elkaar samenhangende componenten (gebaseerd op De Groot 2010, p. 38–39):

  1. Risicoprofiel: de uiteenzetting van de belangrijkste operationele, strategische, financiële en wet- en regelgevingrisico’s waaraan een organisatie blootstaat.
  2. Beschrijving risicomanagementsysteem: de uiteenzetting van de karakteristieken van het organisatiespecifieke systeem van risicomanagement waarmee de bedrijfsrisico’s worden beheerst.
  3. De ‘in-control verklaring’: de uitspraak van de ondernemingsleiding over de opzet en/of het bestaan en/of de werking van het beschreven (deel)systeem van risicomanagement/interne beheersing en/of de betrouwbaarheid van het beschreven risicoprofiel.

Waar hierna in deze bijdrage wordt gesproken over de ‘in-control verklaring’, doelen wij daarmee steeds op de verklaring met de betekenis zoals hierboven onder (3) beschreven. Conceptueel kunnen de drie met elkaar samenhangende componenten als volgt worden weergegeven (zie Figuur 1).

Figuur 1.

Conceptueel kader voor verantwoorden over risicobeheersing.

In dit praktijkonderzoek hebben wij beoordeeld hoe Nederlandse beursvennootschappen in hun jaarlijkse verslaggeving over 2019 invulling hebben gegeven aan de vereisten die voortvloeien uit de Nederlandse Corporate Governance Code 2016 (hierna: Code 2016) die zien op de (bestuurs)verklaring over ‘in control’. Specifiek gaat het daarbij om de wijze waarop Nederlandse beursvennootschappen met een beursnotering aan Euronext Amsterdam in de jaarverslagen over 2019 Best practice bepaling (hierna: Bpb) 1.4.3 van de Code 2016 hebben toegepast. Het praktijkonderzoek is opgebouwd uit een tweetal onderzoeksvragen: (i) op welke wijze is invulling gegeven aan de naleving van de voorschriften voor de bestuursverklaring volgens Bpb 1.4.3 van de Code 2016 en (ii) worden er – ondanks dat de Code 2016 dat niet (langer) voorschrijft – in de jaarverslagen 2019 ‘in-control verklaringen’ opgenomen (dat wil zeggen: een expliciete uitspraak gedaan over het functioneren van de interne risicobeheersings- en controlesystemen), en zo ja, op welke wijze wordt aan die ‘in-control verklaring’ invulling gegeven?

De opzet van deze bijdrage is als volgt. Hierna zetten wij allereerst het relevante deel van het wet- en regelgevend kader – alsmede enkele ontwikkelingen daarbinnen – uiteen (paragraaf 2). Vervolgens beschrijven wij de afbakening van de onderzoekspopulatie en de opzet van de onderzoeksvragen (paragraaf 3). De resultaten zijn vervolgens opgenomen in paragraaf 4. De bijdrage wordt afgesloten met enkele concluderende opmerkingen (paragraaf 5).

2. Wet- en regelgeving en relevante ontwikkelingen daarbinnen

2.1 Verantwoording afleggen over risicobeheersing door het bestuur volgens de Code 2016

De Code 2016 – effectief sinds boekjaar 20171 – bevat enkele bepalingen die zien op het afleggen van verantwoording door het bestuur van de vennootschap over de effectiviteit van de opzet en werking van de interne risicobeheersings- en controlesystemen. De externe ‘in control’ verantwoording door het bestuur over risico’s en risicobeoordeling heeft in de Code 2016 (via Bpb 1.4.2 en Bpb 1.4.3) een nieuw accent gekregen ten opzichte van de Nederlandse Corporate Governance Code uit 2008 (hierna: Code 2008). Dat nieuwe accent betreft ten eerste de beschrijving van het risicoprofiel. Volgens de Code 2016 komen hierin aan de orde:

  • de uitvoering van de risicobeoordeling en beschrijving van de voornaamste risico’s in relatie tot haar risicobereidheid, waarbij gedacht kan worden aan strategische, operationele, compliance- en verslaggevingsrisico’s (Bpb 1.4.2, onderdeel i, Code 2016);
  • de gevoeligheid van de resultaten van de vennootschap voor materiële wijzigingen in externe omstandigheden (Bpb 1.4.2, onderdeel iv, Code 2016); en
  • de materiële risico’s en onzekerheden die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag (welke uiteenzetting is af te leiden uit Bpb 1.4.3, onderdeel iv, Code 2016).

Het tweede nieuwe aspect betreft een beschrijving van de interne-risicobeheersings- en controlesystemen. Volgens de Code 2016 komen hierin aan de orde:

  • de opzet en werking van de interne-risicobeheersings- en controlesystemen over het afgelopen boekjaar (Bpb 1.4.3, onderdeel ii, Code 2016); en
  • eventuele belangrijke tekortkomingen in de interne-risicobeheersings- en controlesystemen die in het boekjaar zijn geconstateerd, welke eventuele significante wijzigingen in die systemen zijn aangebracht, welke eventuele belangrijke verbeteringen zijn voorzien, en dat deze onderwerpen zijn besproken met de auditcommissie en de Raad van Commissarissen (hierna: RvC) (Bpb 1.4.3, onderdeel iii, Code 2016).

Naast deze beschrijvende ‘in-control’ verantwoording door het bestuur verwacht de Code 2016 (Bpb 1.4.3) dat een ‘verklaring van het bestuur’ (een zogenoemde bestuursverklaring) wordt opgenomen in het bestuursverslag. In deze verklaring verklaart het bestuur met een duidelijke onderbouwing dat:

  1. i. het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen;
  2. ii. voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat;
  3. iii. het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis; en
  4. iv. in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.

Over de formuleringen van de bestuursverklaring in de Code 2016, en in de voorlopers daarvan, is de afgelopen jaren de nodige literatuur verschenen. Zie bijvoorbeeld Emanuels (2017), Van Daelen and De Groot (2014), De Groot (2010) en – eerder al – De Groot and Koolstra (2006).

2.2 De bestuursverklaring uit de Code 2016 nader bekeken

In de bestuursverslagen over boekjaar 2019 wordt de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met enige regelmaat niet als bestuursverklaring geduid, maar als ‘in-control statement’. Als die bestuursverklaring in het hierboven ‘in-control’ conceptueel kader wordt geplaatst van in-control verantwoording, dan blijkt het volgende:

Het eerste element uit de bestuursverklaring – te weten: de verklaring dat ‘het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen’ – is geen expliciete ‘in-control verklaring’ zoals omschreven in het conceptuele kader. De reden hiervoor is dat in de verklaring geen expliciete conclusie is opgenomen over de adequate opzet en/of effectieve werking van het interne risicobeheersing en controlesysteem.

Terzijde voegen wij hieraan toe dat het bestuur tegelijkertijd wel moet verklaren dat het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne-risicobeheersings- en controlesystemen. Dit ziet toe op het gehele spectrum aan strategische, operationele, financiële, compliance en verslaggevings-risico’s. Als de uiteenzetting over tekortkomingen wordt bevestigd, spreekt het bestuur zich in feite impliciet uit over het functioneren van het gehele systeem van risicobeheersing. Immers tekortkomingen kunnen alleen worden gerapporteerd als de werking van het stelsel is geëvalueerd. Het ligt in de lijn der verwachting dat lezers deze verklaring kunnen opvatten dat áls er geen tekortkomingen zijn gerapporteerd, het systeem van risicobeheersing gedurende het verslagjaar kennelijk naar behoren heeft gefunctioneerd. Aldus kan een impliciete conclusie worden getrokken over de effectieve beheersing van alle materiële risicocategorieën. Een expliciete ‘in-control verklaring’ is deze verklaring echter niet.

Het tweede element uit de bestuursverklaring – te weten: de verklaring dat ‘de voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat’ – is ook geen expliciete ‘in-control verklaring’. De reden hiervoor is dat in deze zinsnede geen expliciete uitspraak is opgenomen over de opzet en/of het bestaan en/of de werking van systeem van risicomanagement ten aanzien van de financiële verslaggeving. Als dit tweede element uit de bestuursverklaring wordt afgezet tegen de COSO definitie van internal control wordt duidelijk wat dit tweede element dan wel is: namelijk dat er in feite niets meer en niets minder wordt gesteld dan dat de systemen erop gericht zijn om de doelstelling van betrouwbare financiële verslaggeving te bereiken. Immers COSO definieert internal control als volgt: ‘Internal control is a process, effected by an entity’s board of directors, management, and other personel, designed to provide reasonable assurance regarding the achievement of objectives relating to operations, reporting and compliance.’ (COSO (2013). Met de zinsnede in de bestuursverklaring dat ‘de voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat’ wordt dus expliciet gemaakt wat het doel is van het interne beheersings- en controlesysteem van de vennootschap ten aanzien van financiële verslaggeving: namelijk dat de verslaggeving geen onjuistheden van materieel belang bevat. Deze beschrijving van de doelstelling van de systemen is een uitspraak die altijd waar is. Maar de enkele (correcte) beschrijving van de doelstelling van de systemen zegt nog niets over de effectieve werking van die systemen in het verslagjaar. Terzijde merken wij op dat wij niet uitsluiten dat het voorgenoemde tweede element in de bestuursverklaring door opstellers en/of gebruikers desalniettemin wordt gelezen als een (impliciete) uitspraak dat de systemen naar behoren hebben gewerkt; conceptueel gezien volgt dat echter niet uit deze passage.

Het derde element uit de bestuursverklaring – te weten: de verklaring dat ‘het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis’ – is ook geen ‘in-control verklaring’. Dit element van de verklaring betreft namelijk weliswaar expliciete bevestiging door de bestuurders, maar die bevestiging ziet niet op het ‘in control’ zijn, maar op de rechtvaardiging dat de financiële verslaggeving is opgesteld op going concern basis.

Terzijde merken wij op dat de vraag kan worden opgeworpen wat de meerwaarde is van dit element van de verklaring. Impliciet hebben bestuurders reeds verklaard dat het gerechtvaardigd is dat de financiële verslaggeving op going concern basis kon worden opgesteld door het ondertekenen van de jaarrekening. Dat zal slechts anders zijn in die situaties dat er sprake is van zekerheid over discontinuïteit en de jaarrekening is opgemaakt op basis van liquidatiegrondslagen. In dat geval zal de bestuursverklaring dit derde element niet (kunnen) bevatten.

Het vierde element uit de bestuursverklaring – te weten: de verklaring dat ‘in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag’ – raakt wel aan de omschrijving van de ‘in-control verklaring’ zoals benoemd in het conceptueel kader. In dit element van de bestuursverklaring wordt een specifieke deelverzameling benoemd van het beschreven risicoprofiel (de uitkomst van een risicobeoordeling als onderdeel van het risicomanagement systeem) in het bestuursverslag, namelijk de materiele risico’s rondom korte termijn continuïteit.

Een analyse van deze vier elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 resulteert in de conclusie dat die verklaring vooral een verklaring is waarin specifieke verantwoordelijkheden van het bestuur van de onderneming worden benadrukt. De verklaring expliciteert wat van bestuurders al impliciet wordt verwacht. Deze bestuursverklaring uit de Code 2016 is dan ook geen ‘in-control verklaring’ pur sang, omdat er geen expliciete conclusie gevraagd (en gegeven) wordt over de adequate opzet en effectieve werking van het systeem van interne risicobeheersing- en controlesystemen. Alleen het vierde element uit de bestuursverklaring – de verklaring over de vermelding van relevante risico’s en onzekerheden voor de komende twaalf maanden – kan in bovengenoemd conceptueel kader worden aangemerkt als een expliciete ‘in-control verklaring’ die concluderend is over het beeld van een deelaspect van het risicoprofiel van de onderneming. Dit vierde element kan aldus ook worden beschouwd van de als een additionele toelichting, die volgens Bpb 1.4.3 Code 2016 wordt verwacht, maar niet elders in de wet- en regelgeving – Boek 2 van het Burgerlijk Wetboek (hierna: BW) of de Richtlijnen voor de jaarverslaggeving (hierna: RJ) – is voorgeschreven.

2.3 De Nederlandse ‘in-control verklaring’ in historisch perspectief

De bestuursverklaring in de Code 2016 staat niet op zich. De historie ervan gaat terug naar de eerste Nederlandse Corporate Governance Code, de Corporate Governance Code uit 2003 (hierna: de Code 2003).2 Als inspiratie voor de Code 2003 diende, naast de toenmalige VK corporate governance code en het Turnbull Report (1999), (mede) wet- en regelgeving in de Verenigde Staten van Amerika (hierna VS), in het bijzonder de Sarbanes-Oxley Act van 2002 (hierna Sox). In de Code 2003 was Bpb II.1.4 opgenomen. Aan deze best practice bepaling is in 2005 door de Commissie Frijns een nadere interpretatie gegeven (hierna: Interpretatie Frijns, MCCG 2005, p.7–8). Vervolgens werd in de aangepaste Nederlandse Corporate Governance Code uit 20083 ervoor gekozen om – in lijn met de Interpretatie Frijns (MCCG 2005) – de reikwijdte van de best practice bepaling die zag op de bestuursverklaring in te perken tot een verklaring ten aanzien van de interne risicobeheersings- en controlesystemen gekoppeld aan de financiële verslaggevingsrisico’s. De meest recente herziening van de Nederlandse Corporate Governance Code, leidende tot de (thans geldende) Code 2016, heeft geleid tot de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met de hierboven beschreven vier elementen.

De historische ontwikkeling van de ‘in-control verklaring’ en bestuursverklaring is opgenomen in Figuur 2.

Figuur 2.

‘In-control verklaring’ en bestuursverklaring in historisch perspectief.

In-control verklaring’ en bestuursverklaring in historisch perspectief
In-control verklaring’ volgens de Code 2003 (Bpb II.1.4)
In het jaarverslag verklaart het bestuur dat de interne risicobeheersings- en controlesystemen adequaat en effectief zijn en geeft hij een duidelijke onderbouwing hiervan.
In-control verklaring’ volgens de Interpretatie Frijns (2005)
De Commissie is van oordeel dat aan Bpb II.1.4 wordt voldaan indien
– ten aanzien van financiële verslaggeving risico’s wordt verklaard dat:
o de risicobeheersings- en controlesystemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat;
o de risicobeheersings- en controlesystemen in het verslagjaar naar behoren hebben gewerkt; en
o dat er geen indicaties zijn dat de risicobeheersings- en controlesystemen in het lopende jaar niet naar behoren zullen werken.
– eventuele tekortkomingen die mogelijkerwijs materiële gevolgen kunnen hebben en in het verslagjaar respectievelijk het lopende jaar zijn geconstateerd worden gemeld, waarbij tevens aangebrachte of geplande verbeteringen worden aangegeven.
Voor wat betreft de inhoud van een ‘redelijke mate van zekerheid’ dient uitgegaan te worden van wat als zodanig geldt voor een zorgvuldig handelend bestuurder in de gegeven omstandigheden.
In-control verklaring’ volgens de Code 2008 (Bpb II.1.5)
Ten aanzien van financiële verslaggevingsrisico’s verklaart het bestuur in het jaarverslag dat de interne risicobeheersings- en controlesystemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat en dat de risicobeheersings- en controlesystemen in het verslagjaar naar behoren hebben gewerkt. Het bestuur geeft hiervan een duidelijke onderbouwing. Toelichting op Bpb II.1.5: De verklaring kan een onderdeel vormen van de bestuurdersverklaring die vereist is in het kader van artikel 5:25c Wet op het financieel toezicht. Vennootschappen waarvan effecten worden verhandeld op een met een gereglementeerde markt of multilaterale handelsfaciliteit vergelijkbaar systeem in de Verenigde Staten worden geacht te voldoen aan de onderdelen a en b, indien zij op juiste wijze toepassing geven aan Section 404 van de Sarbanes-Oxley Act.
In-control verklaring’ volgens Herzieningsvoorstel Code 2016
Het bestuur verklaart in het bestuursverslag met een duidelijke onderbouwing:
o dat de interne risicobeheersings- en controlesystemen in het boekjaar naar behoren hebben gewerkt;
o dat voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat; en
o dat de verwachting is dat de continuïteit van de vennootschap voor de komende twaalf maanden gewaarborgd is.
Bestuursverklaring volgens de Code 2016 (Bpb 1.4.3)
In deze verklaring verklaart het bestuur in het bestuursverslag met een duidelijke onderbouwing dat:
(i) het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen;
(ii) voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat;
(iii) het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis; en
(iv) in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.

De achtergrond voor de Interpretatie Frijns (MCCG 2005) werd gevormd door de hoge mate waarin Bpb II.1.4 van Code 2003 niet werd nageleefd, respectievelijk het grote aantal malen dat werd uitgelegd waarom van die best practice bepaling werd afgeweken. De Interpretatie Frijns (MCCG 2005) beperkt de scope van de ‘in-control verklaring’ tot de interne risicobeheersingssystemen voor de financiële verslaggevingsrisico’s. Daarnaast leidde de introductie en definiëring van begrippen als ‘redelijke mate van zekerheid’, ‘materieel belang’, en ‘naar behoren functioneren’, tot meer houvast aan de opstellers, beoordelaars en gebruikers van de risicoparagraaf in het jaarverslag (De Groot and Koolstra (2006). Tegelijkertijd bevat de Interpretatie Frijns ook een uitbreiding van de ‘in-control verklaring’, door het afgeven van een verklaring ten aanzien van de toekomstige werking van de interne risicobeheersingssystemen over financiële verslaggeving (een zogenoemd forward looking statement).4>

Bij de herziening van de Nederlandse Corporate Governance Code in 2008 is ervoor gekozen om de reikwijdte van de best practice bepaling die zag op de bestuursverklaring – Bpb II.1.5 Code 2008 – in te perken. De ‘in-control verklaring’ van het bestuur ten aanzien van de interne risicobeheersings- en controlesystemen werd gekoppeld aan de financiële verslaggevingsrisico’s. Het zogenoemde forward looking element kwam te vervallen. In de toelichting op Bpb II.1.5 Code 2008 werd opgemerkt dat beursvennootschappen met een beursnotering op een Amerikaanse effectenbeurs worden geacht te hebben voldaan aan de Code 2008 indien zij in hun financiële verslaggeving op juiste wijze toepassing geven aan Section 404 Sox (zie ook par 2.4.1 hierna).5

In februari 2016 werd het voorstel gepubliceerd voor herziening van de destijds geldende Code 2008. De Monitoring Commissie Corporate Governance Code (hierna: Monitoring Commissie) stelde hierin voor om het bestuur in het bestuursverslag een (brede) ‘in-control verklaring’ te laten afleggen dat de interne risicobeheersings- en controlesystemen in het verslagjaar goed hebben gewerkt (Herzieningsvoorstel Code, MCCG 2016a, p. 16). Deze verbreding werd toegelicht door de opmerking dat verbreding aansluit ‘bij de expliciete aandacht die de Commissie geeft aan niet-financiële aspecten van ondernemen. Risico’s die voorvloeien uit niet-financiële aspecten, zoals de invloed op milieu, kunnen ook financiële consequenties hebben’ (Herzieningsvoorstel Code 2016, MCCG 2016a, p. 15).

In de uiteindelijk tot stand gebrachte Code 2016 is de voorgestelde verbreding niet doorgevoerd.6 Tegelijkertijd merkt de Monitoring Commissie op dat de ‘in-control verklaring’ in de Code 2016 ‘breder [blijft] dan de Code 2008 en (…) zich in onderdelen i en iv dus niet enkel [beperkt] tot financiële verslaggevingsrisico’s. Daarmee ligt de verklaring in het verlengde van de interne risicobeheersings- en controlesystemen, die immers ook niet zijn beperkt tot financiële verslaggevingsrisico’s. De verbreding impliceert overigens niet dat aan de verklaring voor elk risico hetzelfde controlebouwwerk ten grondslag moet liggen. Uitgangspunt is dat die tekortkomingen en risico’s in het bestuursverslag worden vermeld die ertoe doen en dat het bestuur verklaart dat de weergave naar wat zij weten volledig is. Het gaat daarbij om materiële risico’s die zijn gesignaleerd dan wel redelijkerwijs zijn te voorzien op het moment dat de verklaring wordt afgegeven.’ (Verantwoording van het werk van de Commissie, MCCG 2016, p. 8–9).

Samenvattend kan worden geconcludeerd dat de ‘in-control verklaring’ in het bestuursverslag over de effectieve opzet en effectieve werking van de interne risicobeheersings- en controlesystemen sinds 2003 in de verschillende Nederlandse Corporate Governance Codes verschillende verschijningsvormen kent. Daarbij valt een vijftal aspecten op:

  • Reikwijdte: een reikwijdte die toeziet op het gehele (ruime) spectrum aan risico’s (strategisch, operationeel, financieel, compliance en verslaggeving risico’s) tot een (engere) reikwijdte die alleen betrekking heeft op financiële verslaggeving risico’s.
  • Formulering van de conclusie: van een expliciete conclusie over de werking (‘naar behoren functioneren’) van de interne risicobeheersings- en controlesystemen versus een impliciete conclusie (door middel van verklaren dat materiele tekortkomingen zijn beschreven).
  • Factor tijd: de verklaring omvat een uitspraak die betrekking heeft op de werking gedurende het gehele verslagjaar, versus een uitspraak die betrekking heeft op de status per einde boekjaar (optioneel voor beursvennootschapen die vanwege een Amerikaanse beursnotering een verklaring gebaseerd op Section 404 Sox opnemen).7
  • Toekomstblik: wel een uitspraak over de toekomstige werking (Interpretatie Frijns, MCCG2005), versus geen uitspraak over de toekomstige werking (Code 2003, Code 2008, Herzieningsvoorstel Code 2016 en Code 2016).
  • Rol van de externe accountant: geen toetsende rol van de externe accountant (in de Code 2003 tot en met de Code 2016), versus wel een toetsende rol (zoals voorgesteld in door de CTA (CTA 2020).

In de Nederlandse Corporate Governance Codes zijn geen normatieve voorschriften opgenomen aangaande welk raamwerk met criteria voor het interne risicobeheersings- en controlesysteem ten grondslag moet liggen aan de ‘in-control verklaring’. In de toelichtingen op de Codes 2003, 2008 en 2016 wordt slechts gesteld dat het in rede ligt dat het bestuur in de beschrijving van de opzet en werking van de interne risicobeheersings- en controlesystemen aangeeft welk raamwerk of normenkader (bijvoorbeeld het COSO raamwerk voor interne beheersing)8 is gehanteerd bij de evaluatie van het interne risicobeheersings- en controlesysteem.

2.4 Buitenlandse ontwikkelingen rondom ‘in-control verklaringen’

De hierboven geschetste ontwikkelingen in Nederland staan niet los van internationale ontwikkelingen. Met name in de VS en in het VK vindt discussie plaats over de invulling van het verklaren over ‘in control’ zijn door beursgenoteerde ondernemingen.9

2.4.1 Ontwikkelingen in de VS: statements uit hoofde van Sections 302 en 404 Sox

De bepalingen in de Nederlandse Corporate Governance Codes – thans in de Code 2016 – zijn oorspronkelijk (mede) geïnspireerd door de invoering in de VS in 2002 van de verplichtingen voor het bestuur van beursgenoteerde ondernemingen om een verklaring af te leggen over de effectieve werking van de ‘disclosure controls and procedures’ (Section 302 Sox) en over de ‘internal controls over financial reporting’ (Section 404a Sox; waarover uitvoerig Van Ginneken (2003) en Van Ginneken (2004)).

Uit hoofde van de verklaring voorgeschreven in Section 302 Sox, en de daarop gebaseerde regelgeving, verklaart het bestuur in haar verslag dat de ‘disclosure controls and procedures’ per ultimo rapportageperiode effectief zijn,10 Ook dient het bestuur in de verklaring de conclusies ‘regarding the effectiveness of the (…) disclosure controls and procedures’ toe te lichten, gebaseerd op de evaluatie van die controls en procedures.11 Als onderdeel van die evaluatie dient het bestuur te evalueren ‘any change in the issuer’s internal control over financial reporting, that occurred during [the reporting period] that has materially affected, or is reasonably likely to materially affect, the issuer’s internal control over financial reporting.12 De verklaring uit hoofde van Section 302 Sox betreft dus een zogenoemde point-in-time conclusie en kent een zeker forward-looking element door de uitspraak over mogelijke wijzingen in de internal control.

De ‘in-control verklaring’ uit hoofde van Section 404 Sox houdt in dat het bestuur verklaart dat de internal control over financial reporting effectief is per ultimo boekjaar. Daarbij dient tevens te worden aangegeven welk algemeen geaccepteerd raamwerk is gehanteerd als basis voor deze conclusie. Op basis van een interpretatie van de SEC is het COSO Internal Control – Integrated Framework (2013) daarvoor thans aangeduid als geschikt – en daardoor ook veelal het gebruikte – referentiekader.13 De regelgeving op basis van Section 404 Sox schrijft tevens voor dat materiële tekortkomingen in de ‘internal controls over financial reporting’ uiteengezet moeten worden.14 Bovendien dient het bestuur in de verklaring die uit hoofde van Section 404 Sox wordt afgegeven te verklaren dat de externe accountant de effectieve werking van de internal controls over financial reporting heeft gecontroleerd en daarover een opinie heeft uitgebracht.15 Voor de toetsing door de externe accountant is door de Public Company Accounting Oversight Board (hierna: PCAOB) een specifieke controlestandaard uitgegeven.16 De externe accountant dient in zijn zogenoemde ‘integrated audit opinion’ naast zijn conclusie over de betrouwbaarheid van de financiële verslaggeving, ook een eigen conclusie op te nemen over effectiviteit van de internal controls over financial reporting per ultimo boekjaar, gebaseerd op hetzelfde referentiekader als door het bestuur is gebruikt (doorgaans derhalve het COSO Internal Control – Integrated Framework).17

Nederlandse beursvennootschappen met een notering in de VS zijn – in beginsel – gehouden om in het jaarverslag voor Amerikaanse deponeringsdoeleinden (welk jaarverslag overigens kan verschillen van de financiële verslaggeving die op basis van de Nederlandse wetgeving openbaar wordt gemaakt) deze twee verklaringen op te nemen, inclusief de opinie van de externe accountant.

2.4.2 Ontwikkelingen in het VK

De huidige UK Corporate Governance Code 2018 kent specifieke voorschriften over het verantwoorden over risico’s en risicobeheersing. Er behoeft door de bestuurders geen expliciete ‘in-control verklaring’, in de betekenis van een conclusie over de effectieve werking van de interne risicobeheersings- en controlesystemen, te worden afgegeven.

In het Kingman Report (2018) is opgemerkt dat onderzocht zou moeten worden hoe het raamwerk voor internal controls bij ondernemingen kan worden versterkt en daarin mede te betrekken relevante leerervaringen met het Sox regime in de VS.

Het Brydon Report (2019) sluit daarop aan. In het Brydon Report (2019) wordt geadviseerd de CEO en CFO een getekende internal control verklaring te laten afgeven met als strekking ‘an evaluation of the effectiveness of the company’s internal controls over financial reporting has been completed and whether or not they were effective’ (Brydon Report (2019), p. 63). Daarbij wordt tevens voorgesteld dat de desbetreffende ‘in-control verklaring’ gebaseerd zou moeten worden op een VK specifieke versie van het COSO Integrated Internal Control Framework (2013) (Brydon Report (2019), p. 63). Voor de te hanteren tekst van de verklaring refereert het rapport aan de bewoordingen uit de verklaring die ingevolge Section 302 Sox moet worden afgegeven. Deze ‘in-control verklaring’ wordt in het Brydon Report (2019) normaliter geen object van het onderzoek van de externe accountant, tenzij er tekortkomingen zijn geconstateerd. Indien na afgiftedatum van de ‘in-control verklaring’ toch tekortkomingen worden geconstateerd in de periode 12 maanden voorafgaand aan of in 12 maanden na datum afgifte van de ‘in-control verklaring’, moet gedurende de drie daarop volgende jaren de ‘in-control verklaring’ wel worden gecontroleerd door de externe accountant (Brydon Report (2019), p. 63).

3. Onderzoeksvragen, afbakening populatie en onderzoeksopzet

Statutair in Nederland gevestigde rechtspersonen waarvan (certificaten van) aandelen zijn toegelaten tot de handel op de beurs (een gereglementeerde markt, een multilaterale handelsfaciliteit of daarmee vergelijkbaar handelsplatform) vallen volgens de Code 2016 onder het bereik van de Code 2016.18 Dit betreft Nederlandse beursgenoteerde vennootschappen met (i) een notering aan Euronext Amsterdam, (ii) met een notering aan zowel Euronext als een notering aan een andere beurs (een zogenoemde ‘dual listing’) en (iii) ondernemingen met uitsluitend een notering buiten Nederland, ook wel aangeduid als beursvennootschappen in den vreemde.19

In het onderzoek zijn betrokken de jaarverslagen van Nederlandse beursvennootschappen met een notering aan Euronext Amsterdam (AEX-, AMX-, AScX-fondsen en overige-beursfondsen) naar de stand per 30 juni 2020 en voor zover daarvan jaarverslagen over verslagjaar 2019 beschikbaar waren per 30 juni 2020. De jaarverslagen 2019 van beursvennootschappen in den vreemde zijn niet betrokken in het onderzoek.

In totaal 91 jaarverslagen over verslagjaar 201920 zijn onderzocht. Van deze 91 beursvennootschappen hebben 77 beursvennootschappen uitsluitend een beursnotering in Nederland; zes beursvennootschappen hebben naast een notering in Nederland tevens een notering in de US (dual listing NL-VS), en acht beursvennootschappen hebben, naast een notering in Nederland, tevens een notering aan een andere effectenbeurs niet zijnde de VS (dual listing NL – X). Deze 91 ondernemingen betreft 20 AEX-fondsen (hoofdfondsen), 21 AMX-fondsen (midcap fondsen), 22 AScX-fondsen (smallcap fondsen) en 28 overige-beursfondsen. Zie bijlage 1 voor de lijst van onderzochte jaarverslagen.

De twee centrale onderzoeksvragen in dit onderzoek zijn:

  1. Op welke wijze is door Nederlandse beursvennootschappen met een beursnotering aan Euronext Amsterdam in de jaarverslagen 2019 invulling gegeven aan de naleving van de bestuursverklaring volgens Bpb 1.4.3 van de Code 2016?
  2. Worden er – ondanks dat de Code 2016 dat niet (langer) voorschrijft – door Nederlandse beursvennootschappen met een beursnotering op Euronext Amsterdam in de jaarverslagen 2019 ‘in-control verklaringen’ opgenomen (dat wil zeggen: expliciete uitspraken gedaan over het functioneren van de interne risicobeheersings- en controlesystemen), en zo ja, op welke wijze wordt aan die ‘in-control verklaring’ invulling gegeven?

Voor beide onderzoeksvragen is een doorsnede gemaakt naar omvang van de beursvennootschap (op basis van index indeling Euronext Amsterdam) en naar aard van beursnotering (alleen NL, dual listing NL-VS, en dual listing NL-X) om te onderzoeken of omvang en/of van toepassing zijnde juridische regime(s) van invloed zijn.

De antwoorden op de onderzoeksvragen kunnen als input dienen voor de lopende discussies over de toekomst van de ‘in-control verklaring’ in Nederlandse context. Die input is relevant voor de groep van relevante stakeholders bij dit actuele onderwerp. Gedacht kan daarbij worden aan gebruikers van het jaarverslag, de politiek en wetgever, de Monitoring Commissie, bestuurders en commissarissen, alsmede externe accountants en toezichthouders.

3.1 Onderzoeksopzet

Voor elk van de vier afzonderlijke elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 is beoordeeld of het desbetreffende element is opgenomen in het bestuursverslag 2019. De bewoordingen uit deze best practice bepaling worden niet altijd letterlijk gehanteerd. Daar waar dat het geval was en de bewoordingen inhoudelijk dicht tegen de letterlijke bewoordingen lagen, is ook in die gevallen het element beoordeeld als zijnde dat Bpb 1.4.3 Code 2016 is gevolgd.

De Code 2016 vereist geen expliciete ‘in-control verklaring’ in het jaarverslag (meer) van het bestuur. In het licht van de hiervoor geschetste ontwikkelingen, gezien de historie van de bepalingen over bestuursverklaringen in de voorgangers van de Code 2016 én gegeven het feit dat Nederlandse beursvennootschappen met een notering in de VS ingevolge (Section 404 van) Sox nog steeds een ‘in-control verklaring’ moeten afgeven, is in dit onderzoek nader onderzocht op welke wijze ‘in-control verklaringen’ zijn opgenomen in de jaarverslagen 2019 van de 91 onderzochte Nederlandse jaarverslagen. Daarbij is specifiek gekeken naar een drietal relevante aspecten van de ‘in-control verklaring’ die, vanuit de historische ontwikkeling (zie paragraaf 2.3), opvielen:

  • De reikwijdte van de conclusie over het functioneren van het systeem. De ‘in-control verklaring’ kan ruim zijn en betrekking hebben op het gehele interne risicobeheersings- en controlesysteem dat betrekking heeft op de beheersing van de strategische, operationele, financiële, compliance en verslaggeving risico’s. Deze reikwijdte was opgenomen in de Code 2003 en in het Herzieningsvoorstel Code 2016 (MCCG 2016a). De ‘in-control verklaring’ kan daarentegen ook enger zijn en betrekking hebben op een deelsysteem van het interne risicobeheersings- en controlesysteem, te weten het systeem dat betrekking heeft op de beheersing van de financiële verslaggeving risico’s. Deze reikwijdte was opgenomen in de interpretatie van Bpb II.1.4 Code 2003 in de Interpretatie Fijns (MCCG 2005) en in de Code 2008. Ook de reikwijdte van Section 404 Sox heeft deze (engere) reikwijdte.
  • De factor tijd. De conclusie in de ‘in-control verklaring’ kan betrekking hebben op (i) het gehele verslagjaar (zogenoemde period-of-time [pot]), of op (ii) op de stand van zaken per einde van verslagjaar (zogenoemde point-in-time [pit]). Door de jaren heen hebben de relevante best practice bepalingen in de Nederlandse Corporate Govenance Codes steeds betrekking gehad op (de werking gedurende) het gehele verslagjaar, terwijl de ‘in-control verklaringen’ volgens Sections 302 en 404 Sox betrekking hebben op het functioneren per einde van de verslagperiode.
  • De toekomstblik (‘forward looking statement’). Het opnemen van al dan niet een uitspraak over de verwachte werking van het interne risicobeheersings- en controlesysteem in het lopende verslagjaar. Een element van forward looking statement was opgenomen in de Interpretatie Frijns (MCCG 2005).

4. Onderzoeksuitkomsten

4.1 Bestuursverklaring Bpb 1.4.3 Code 2016

Voor elk van de vier elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 is afzonderlijk beoordeeld of het desbetreffende element is opgenomen in het bestuursverslag 2019. De onderzoeksuitkomsten zijn samengevat in Tabel 1.

Tabel 1.

Samenvatting gerapporteerde elementen in de bestuursverklaringen 2019.

Samenvattend overzicht van gerapporteerde elementen (in %) in de bestuursverklaringen in de jaarverslagen 2019 van Nederlandse beursgenoteerde vennootschappen
AEX-fondsen AMX-fondsen AScX-fondsen Overige-fondsen Totaal
(1) Het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen. 95% 86% 91% 36% 74%
(2) Voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. 100% 100% 100% 86% 96%
(3) Het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis. 100% 100% 95% 46% 82%
(4) In het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag. 100% 95% 95% 46% 81%

De bestuursverklaring uit de Code 2016 wordt op alle vier de elementen voor het overgrote deel (tussen de 86% en 100%) gevolgd door de AEX-, AMX- en AScX-fondsen. Bij de beurvennootschappen behorende tot de overige-fondsen is dat met een score per element van tussen de 36% en 46% significant lager.

Wanneer de beoordeling van de bestuursverklaringen verder wordt uitgesplitst naar aard van de beursnotering (uitsluitend Nederland, een dual-listing NL-VS en dual-listing NL-X) ontstaat een beeld zoals weergeven in Tabel 2.

Tabel 2.

Overzicht uitkomsten beoordeling bestuursverklaringen 2019.

Overzicht beoordeling bestuursverklaringen 2019
Element 1: Het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen.
NL Dual listing NL-US Dual listing NL-X Totaal generaal
Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja %
AEX 12 13 92% 5 5 100% 2 2 100% 19 20 95%
AMX 17 20 85% 0 0 1 1 100% 18 21 86%
AScX 19 21 90% 0 0 1 1 100% 20 22 91%
Overige-fondsen 8 23 35% 0 1 0% 2 4 50% 10 28 36%
Totaal # 56 77 73% 5 6 83% 6 8 75% 67 91 74%
Totaal % 73% 83% 75% 74%
Element 2: Voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat.
NL Dual listing NL-VS Dual listing NL-X Totaal generaal
Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja %
AEX 13 13 100% 5 5 100% 2 2 100% 20 20 100%
AMX 20 20 100% 0 0 - 1 1 100% 21 21 100%
AScX 21 21 100% 0 0 - 1 1 100% 22 22 100%
Overige-fondsen 20 23 87% 0 1 0% 4 4 100% 24 28 86%
Totaal # 74 77 96% 5 6 83% 8 8 100% 87 91 96%
Totaal % 96% 83% 100% 96%
Element 3: Het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis.
NL Dual listing NL-VS Dual listing NL-X Totaal generaal
Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja %
AEX 13 13 100% 5 5 100% 2 2 100% 20 20 100%
AMX 20 20 100% 0 0 1 1 100% 21 21 100%
AScX 20 21 95% 0 0 1 1 100% 21 22 95%
Overige-fondsen 10 23 43% 0 1 0% 3 4 75% 13 28 46%
Totaal # 63 77 82% 5 6 83% 7 8 88% 75 91 82%
Totaal % 82% 83% 88% 82%
Element 4: In het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.
NL Dual listing NL-VS Dual listing NL-X Totaal generaal
Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja % Ja # Tot # Ja %
AEX 13 13 100% 5 5 100% 2 2 100% 20 20 100%
AMX 19 20 95% 0 0 1 1 100% 20 21 95%
AScX 20 21 95% 0 0 1 1 100% 21 22 95%
Overige-fondsen 10 23 43% 0 1 0% 3 4 75% 13 28 46%
Totaal # 62 77 81% 5 6 83% 7 8 88% 74 91 81%
Totaal % 81% 83% 88% 81%

De beursvennootschappen met een dual-listing NL-VS, met uitzondering van 1 beursvennootschap die kwalificeert als overig-fonds, nemen alle vier elementen in de bestuursverklaring op. Een nagenoeg zelfde beeld geldt voor ondernemingen met een dual-listing NL-X. Het tevens beursgenoteerd zijn in een andere jurisdictie, naast een Nederlandse beursnotering, heeft geen significante invloed op de mate van toepassing van (de bepalingen uit de Code 2016 aangaande de) Nederlandse bestuursverklaring.

Een aantal beursvennootschappen combineert de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met de verklaring die uit hoofde van art. 5:25c Wft moet worden opgenomen in de financiële verslaggeving. Een voorbeeld daarvan is TKH Group (Jaarverslag 2019, p. 95), een vennootschap die Bpb 1.4.3 Code 2016 volledig volgt (zie Figuur 3).

Figuur 3.

Voorbeeld bestuursverklaring TKH Group Jaarverslag 2019 p. 95.

De effectiviteit en werking van de interne risicobeheersings- en controlesystemen worden jaarlijks besproken met de Audit Commissie en de Raad van Commissarissen. Rekening houdend met de hiervoor beschreven risico’s en daarop gerichte beheersingsmaatregelen, en in overeenstemming met de best practice bepaling I.4.3 van de Nederlandse Corporate Governance Code, verklaart de Raad van Bestuur, voor zover bekend, dat:
i. het verslag in voldoende mate inzicht geeft in eventuele tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen;
ii. voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat;
iii. het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis; en
iv. in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.
Verwijzend naar artikel 5.25c lid 2c van de Wft verklaart de Raad van Bestuur, voor zover bekend, dat:
• De jaarrekening een getrouw beeld geeft van de activa, passiva, financiële positie en de winst van TKH en de gezamenlijk in de consolidatie opgenomen ondernemingen.
• Het bestuursverslag een getrouw overzicht geeft omtrent de toestand op 31 december 2019, de gang van zaken gedurende 2019 bij TKH en van de met haar verbonden ondernemingen waarvan de gegevens in de jaarrekening zijn opgenomen, en dat in het bestuursverslag de wezenlijke risico’s waarmee de onderneming wordt geconfronteerd, zijn beschreven.

4.1.1 Het element ‘tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen’

Het eerste element uit de bestuursverklaring betreft de verklaring dat het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen.

In totaal 74% van de beursvennootschappen neemt dit element op. Opvallend is het verschil tussen enerzijds de AEX-fondsen, AMX-fondsen, AscX-fondsen en anderzijds de overige-fondsen. Immers 95% van de AEX-fondsen, 86% van de AMX-fondsen en 91% van de AScX-fondsen nemen het element op, terwijl minder dan de helft – slechts 36% – van de overige-fondsen dit element opneemt.

Er is één AEX-fonds dat dit element niet heeft opgenomen in de bestuursverklaring. Een ander AEX-fonds beperkt de reikwijdte van dit element tot tekortkomingen in de interne risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving. Drie AMX-fondsen en twee AScX-fondsen nemen dit element niet op in de bestuursverklaring. Deze vijf beursvennootschappen hebben overigens in het bestuursverslag wel een ‘in-control verklaring’ opgenomen die betrekking heeft op de werking van de interne risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving (zie ook paragraaf 4.2).

Achttien (64%) van de 28 overige-fondsen nemen, als gezegd, dit element niet op in de bestuursverklaring. Hiervan legt één beursvennootschap de afwijking van de Code 2016 gemotiveerd uit. Een andere beursvennootschap, die naast de Nederlandse beursnotering tevens een notering in de VS heeft, legt de afwijking van de Code 2016 ook uit, maar in de uitleg voor de afwijking wordt nog verwezen naar Bpb II.1.5 uit de Code 2008 en als motivering wordt verwezen naar de optie die de Code 2008 bood om een verklaring uit hoofde van Section 404 Sox te gebruiken als invulling voor de Nederlandse ‘in-control verklaring’ (zie ook paragraaf 2.3 hiervoor). Veertien van deze 18 lokale-fondsen nemen weliswaar dit element niet op in het bestuursverslag, maar in hun jaarverslagen is wel een expliciete ‘in-control verklaring’ opgenomen. Het betreft verklaringen die qua strekking overeenkomen met hetgeen opgenomen was in de Code 2008, in de Interpretatie Frijns (MCCG 2005), het Herzieningsvoorstel Code (MCCG 2016a), respectievelijk de Code 2003.

Circa een op de vijf (22%) beursvennootschappen die dit element heeft opgenomen in de bestuursverklaring, geeft de lezer direct duidelijkheid dat er geen sprake is geweest van tekortkomingen in het interne risicobeheersings- en controlesysteem. Deze duidelijkheid wordt verschaft door het expliciet stellen in de bestuursverklaring zelf of door in de inleidende paragraaf van de bestuursverklaring op te nemen dat er geen (materiele) tekortkomingen in het verslagjaar zijn geweest. Volledigheidshalve wordt opgemerkt dat buiten de scope van het onderhavige praktijkonderzoek de vraag viel of op andere plaatsen in het bestuursverslag al dan niet tekortkomingen in de (brede) werking van het risicomanagementsysteem zijn gerapporteerd.

Ondanks het feit dat de huidige bestuursverklaring geen expliciete ‘in-control verklaring’ is, neemt een viertal AEX-fondsen een disclaimer op dat de bestuursverklaring niet opgevat moet worden als een ‘in-control statement’ als bedoeld in Section 404 van Sox en de daarop gebaseerde regelgeving. Drie van deze vier fondsen hebben naast een notering in Amsterdam tevens een notering in de VS (dual listing NL-VS) en nemen in hun jaarverslag een verklaring als bedoeld in Section 404 Sox op.

4.1.2 Het element ‘systemen een redelijke mate van zekerheid geven dat financiële verslaggeving geen onjuistheden bevat’

Het tweede element uit de bestuursverklaring betreft de verklaring dat voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. In totaal neemt 96% van de beursvennootschappen dit element op.

Deze zinsnede komt in alle (100%) bestuursverslagen van de AEX-, AMX- en AScX-fondsen terug. In de bestuursverslagen van vier (14%) overige-fondsen is deze passage niet aangetroffen, waarbij twee beursvennootschappen gemotiveerd afwijken van de Code 2016.

4.1.3 Het element ‘going concern’

Het derde element uit de bestuursverklaring betreft de verklaring dat het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis.

In totaal neemt 82% van de beursvennootschappen dit element op. In alle (100%) bestuursverklaringen van de AEX- en AMX-fondsen komt dit element voor. Bij de AScX-fondsen is dit 95% en bij de overige-fondsen 46%.

4.1.4 Het element ‘risico’s voor de komende twaalf maanden’

Het vierde element uit de bestuursverklaring betreft de verklaring dat in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag. In totaal neemt 81% van de beursvennootschappen dit element op.

Dit percentage wordt met name bepaald door de overige-fondsen. Immers 100% van de AEX-fondsen, 95% van de AMX-fondsen en 95% AScX-fondsen nemen het element op, terwijl slechts 46% van de overige-fondsen dit element opneemt.

Eén AEX-fonds heeft ervoor gekozen het Covid-19 risico specifiek te benoemen in de tekst van de bestuursverklaring in relatie tot de komende twaalf maanden en de liquiditeitspositie, waarmee meer in de geest van de bepaling dan via gebruik van letterlijke bewoordingen van de bepaling invulling wordt gegeven aan dit element uit de best practice bepaling.

Een negental beursvennootschappen stelt in de bestuursverklaring expliciet dat er geen risico’s zijn voor de komende twaalf maanden ter zake van de verwachting van de continuïteit van de vennootschap.

4.2 De ‘in-control verklaring’ in de jaarverslagen 2019

Een significant aantal beursvennootschappen (41, overeenkomend met 45% van de populatie), neemt een expliciete ‘in-control verklaring’ over het functioneren van de interne risicobeheersings- en controlesystemen op in het bestuursverslag 2019, zo blijkt uit 91 onderzochte jaarverslagen 2019.

Ruim twee derde (68%) van de overige-fondsen neemt een ‘in-control verklaring’ op, tegen 36% van de AScX-fondsen, 38% van de AMX-fondsen en 30% van de AEX-fondsen.

Vijf (allen AEX-fondsen) van de zes beursvennootschappen met een dual listing NL-VS, nemen ook de verklaring uit hoofde van Section 404 Sox op naast de Nederlandse bestuursverklaring. Drie van deze vijf beursvennootschappen nemen tevens de conclusie over de werking van disclosure controls en procedures (de verklaring uit hoofde van Section 302 Sox) op in het Nederlandse bestuursverslag. De controleverklaring van de externe accountant bij de jaarrekening ziet tevens toe op de ‘in-control verklaring’ uit hoofde van Section 404 Sox.

De plaats in het bestuursverslag waar de ‘in-control verklaring’ terug is te vinden verschilt. Soms vormt deze verklaring onderdeel van de paragraaf waarin de bestuursverklaring is opgenomen, soms is de verklaring opgenomen in de risico-paragraaf en soms in de corporate governance-paragraaf van het bestuursverslag.

Deze ‘in-control verklaringen’ hebben in 16 gevallen (39%) betrekking op het functioneren van het brede risicomanagement systeem en in 25 gevallen (61%) een engere strekking omdat deze alleen betrekking hebben op het functioneren van het stelsel rondom de financiële verslaggeving. De ‘in-control verklaringen’ van 35 van deze beursvennootschappen (85%) hebben als referentiepunt in de tijd de werking gedurende het boekjaar, al dan niet gecombineerd met een forward looking statement over de werking in de toekomst (9 beursvennootschappen). Bij 6 (15%) beursvennootschappen is sprake van een conclusie per ultimo boekjaar (point-in-time conclusie). De samenvatting van de uitkomsten is weergegeven in Tabel 3 en in Tabel 4 (waarbij onderscheid is gemaakt naar de aard van de listing) en de uitkomsten worden in de volgende paragraaf nader toegelicht.

Tabel 3.

Typering ‘in-control verklaring’ in de jaarverslagen 2019.

Typering 'in-control verklaring' in jaarverslagen 2019 van Nederlandse beursgenoteerde vennootschappen Notering Euronext Amsterdam
AEX-fondsen AMX-fondsen AScX-fondsen Overige-fondsen Totaal
Werking interne risicobeheersings- en controleystemen met betrekking tot breed spectrum aan risico's (strategisch, operationeel, financieel, compliance, verslaggeving) Gedurende gehele boekjaar 1 3 2 7 13
Gedurende gehele boekjaar en forward looking 2 2
Per ultimo boekjaar 1 1
Subtotaal 1 3 3 9 16
Werking interne risicobeheersings- en controleystemen met betrekking tot de financiële verslaggeving risico's Gedurende gehele boekjaar 1 4 4 4 13
Gedurende gehele boekjaar en forward looking 1 1 5 7
Per ultimo boekjaar 0
Per ultimo boekjaar – Sox 404 statement 2 2
Per ultimo boekjaar – Sox 404 & Sox 302 statement 2 1 3
Subtotaal 5 5 5 10 25
Totaal 6 8 8 19 41
% van totaal aantal onderzochte Nederlandse beursgenoteerde vennootschappen 30% 38% 36% 68% 45%
Tabel 4.

Typering ‘in-control verklaring’ in de jaarverslagen 2019 naar aard ‘listing’.

Typering 'in-control verklaring' in jaarverslagen 2019 van Nederlandse beursgenoteerde vennootschappen Aard van de 'listing(s)'
NL NL-US NL-X Totaal
Werking interne risicobeheersings- en controleystemen met betrekking tot breed spectrum aan risico's (strategisch, operationeel, financieel, compliance, verslaggeving) Gedurende gehele boekjaar 12 1 13
Gedurende gehele boekjaar en forward looking 2 2
Per ultimo boekjaar 1 1
Subtotaal 15 0 1 16
Werking interne risicobeheersings- en controleystemen met betrekking tot de financiële verslaggevingsrisico's Gedurende gehele boekjaar 11 2 13
Gedurende gehele boekjaar en forward looking 6 1 7
Per ultimo boekjaar 0
Per ultimo boekjaar – Sox 404 statement 2 2
Per ultimo boekjaar – Sox 404 & Sox 302 statement 3 3
Subtotaal 17 5 3 25
Totaal 32 5 4 41
% van totaal aantal onderzochte Nederlandse beursgenoteerde vennootschappen 42% 83% 50% 45%

4.2.1 Brede ‘in-control verklaring’

Een brede ‘in-control verklaring’, betrekking hebbend op de beheersing van het gehele spectrum aan risico’s (strategisch, operationeel, financieel, compliance en verslaggeving), is terug te vinden bij 16 fondsen: 1 AEX-fonds, 3 AMX-fondsen, 3 AScX-fondsen en 9 overige-fondsen. Door 15 van die 16 beursvennootschappen wordt gesteld dat het systeem in het verslagjaar naar behoren heeft gefunctioneerd (of woorden van die strekking). Oftewel een positief verwoorde verklaring (zogenoemd ‘positive assurance’). Eén van die 16 beursvennootschappen geeft de verklaring af in de vorm van zogenoemd ‘negative assurance’, namelijk door te verklaren dat er geen indicaties zijn dat de systemen niet naar behoren hebben gewerkt gedurende het verslagjaar.

Er zijn geen beursvennootschappen die tevens een beursnotering in de VS hebben (dual listing NL-VS) die een brede ‘in-control verklaring’ afgeven. Eén beursvennootschap (kwalificerend als een overig-fonds) die tevens een beursnotering heeft aan een andere beurs dan in de VS (dual listing NL-X), geeft (wel) een brede ‘in-control verklaring’ af.

Met uitzondering van één beursvennootschap zien de brede ‘in-control verklaringen’ toe op het gehele verslagjaar. Een organisatie, een AScX-fonds, geeft de brede ‘in-control verklaring’ af naar de werking per ultimo boekjaar (een zogenoemde point-in-time conclusie). Een voorbeeld van een dergelijke brede ‘in-control verklaring’ per ultimo boekjaar – en tevens gecombineerd met de bestuursverklaring – is te vinden in het bestuursverslag van ForFarmers N.V. over 2019 (zie Figuur 4).

Figuur 4.

Voorbeeld bestuursverklaring ForFarmers N.V., Annual Report 2019, p. 105.

On the basis of this report and in accordance with best practice 1.4.3 of the Dutch corporate governance code of December 2016, and article 5:25c of the financial supervision act, the aforementioned assessment, the current state of affairs and to the best of its knowledge and belief, the executive board declares that the internal risk management and control systems were effective as at the end of the 2019* financial year and that:
• these systems provide a reasonable degree of assurance that the executive board is informed, on time, of the degree to which the company’s strategic, operational and financial objectives are being achieved;
• the report gives sufficient insight into any shortcomings in the operation of the internal risk management and control systems;
• the aforementioned systems provide a reasonable degree of assurance that the financial reporting does not contain any material misstatement;
• drawing up the financial reporting on a going concern basis is justified based on the current state of affairs; and
• the report states any material risks and uncertainties that are relevant as regards the expectation of continuity of the company for a period of twelve months after drawing up the report.
* Tekst door onderzoekers geaccentueerd voor illustratie doeleinden

Twee beursvennootschappen met een brede ‘in-control verklaring’ nemen tevens een zogenoemd forward looking statement op in de brede ‘in-control verklaring’. Deze beursvennootschappen doen dit door op te merken dat er geen indicaties zijn om aan te nemen dat deze systemen in het lopende jaar niet naar behoren zullen werken.

Een voorbeeld van een alternatieve formulering van een ‘in-control verklaring’ kan niet onbenoemd blijven. Een overig-fonds nam op verschillende plaatsen in haar bestuursverslag en jaarrekening 2019 in totaal vier conclusies op over het in control zijn. Daarbij wordt door een fonds de volgende bewoordingen gebezigd: ‘concludeert de raad van bestuur dat het risicomanagementsysteem, alsmede de beheersing van de bedrijfsprocessen en de interne controle hierop binnen (…) afdoende professioneel, passend en doeltreffend zijn verzorgd.’ Een ander voorbeeld betreft twee beursvennootschappen kwalificerend als overige-fondsen die in de ‘in-control verklaring’ aanvullend vermelden dat er geen onverantwoorde risico’s zijn genomen.

4.2.2 ‘In-control verklaring’ betrekking hebbende op beheersing financiële verslaggevingsrisico’s

Een (engere) ‘in-control verklaring’ betrekking hebbend op het systeem van beheersing van de financiële verslaggevingsrisico’s, is terug te vinden bij 25 beursvennootschappen. Deze zijn onderverdeeld in 5 AEX-fondsen, 5 AMX-fondsen, 5 AScX-fondsen en 10 overige-fondsen. Bij 20 van deze beursvennootschappen wordt gesteld dat de risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving ‘in het verslagjaar naar behoren hebben gewerkt’ of ‘adequaat zijn opgezet en effectief hebben gewerkt’ (of woorden van die strekking). Een voorbeeld hiervan is te vinden in de bestuursverklaring in het bestuursverslag van Koninklijke Ahold Delhaize N.V. (zie Figuur 5).

Figuur 5.

Voorbeeld bestuursverklaring Koninklijke Ahold Delhaize N.V., Annual Report 2019, p. 105.

Annual declaration on internal risk management and control systems
The Management Board, as required by section 1.4.3 of the Dutch Corporate Governance Code, makes the following declaration:
The Management Board is responsible for establishing and maintaining adequate internal risk management and control systems. Such systems are designed to manage rather than eliminate the risk of failure to achieve important business objectives, and can only provide reasonable and not absolute assurance against material misstatement or loss. This report provides sufficient insights into any significant deficiencies in the effectiveness of the internal risk management and control systems. Management is not aware of any critical failings of these systems during 2019.
This report includes those material risks and uncertainties that are relevant to the expectation of the Company’s continuity for the period of twelve months after the preparation of the report.
With respect to financial reporting based on the current state of affairs, it is justified that the financial reporting is prepared on a going concern basis and management has assessed whether the risk management and control systems provide reasonable assurance that the 2019 financial statements do not contain any material misstatements. This assessment was based on the criteria set out in COSO: Internal Control – Integrated Framework 2013 and our internal control framework. It included tests of the design and operating effectiveness of entity-level controls, transactional controls at significant locations and relevant general computer controls. Any control weaknesses not fully remediated at year-end were evaluated. Based on this assessment, the Management Board determined that the Company’s financial reporting systems are adequately designed, operated effectively in 2019* and provide reasonable assurance that the financial statements are free of material misstatement.
* Tekst door onderzoekers geaccentueerd voor illustratie doeleinden

De ‘in-control verklaring’ van dertien van deze 20 beursvennootschappen heeft een reikwijdte die overeenkomt met de reikwijdte zoals deze was voorgeschreven in de Code 2008. Zeven andere beursvennootschappen passen de ‘in-control verklaring’ toe op de wijze zoals aanbevolen in de Intepretatie Frijns (2005) en nemen dus naast een uitspraak over het naar behoren functioneren tevens een forward looking statement op.

Van de 25 (engere) ‘in-control verklaringen’ zien er 20 toe op de werking van die systemen gedurende het gehele verslagjaar. De door de beursvennootschappen met een dual listing NL-VS afgegeven vijf ‘in-control verklaringen’ waarin Sections 302 en 404 Sox worden toegepast, zien toe op de stand per einde boekjaar.

Vijf (allen AEX-fondsen) van de zes beursvennootschappen met tevens een beursnotering in de VS, nemen ook de verklaring uit hoofde van Section 404 Sox op naast de Nederlandse bestuursverklaring. De controleverklaring van de externe accountant bij de jaarrekening ziet bij deze beursvennootschappen tevens toe op de verklaring uit hoofde van Section 404 Sox. Drie van deze vijf beursvennootschappen nemen tevens de conclusie over de werking van disclosure controls and procedures, de verklaring uit hoofde van Section 302 Sox, op in het Nederlandse bestuursverslag. Een voorbeeld daarvan is Unilever N.V. (zie het voorbeeld in Figuur 6). De andere twee beursvennootschappen nemen de verklaring uit hoofde van Section 302 Sox niet op in het Nederlandse bestuursverslag, maar verwijzen voor die verklaring naar de stukken die deze beursvennootschappen hebben gedeponeerd bij de SEC.

Figuur 6.

Voorbeeld Management’s Report on Internal Control over Financial Reporting Unilever N.V. Annual Report and Accounts 2019, p. 171.

Management Report on Internal Control over Financial Reporting
In accordance with the requirements of Section 404 of the US Sarbanes-Oxley Act of 2002, the following report is provided by management in respect of the Group’s internal control over financial reporting (as defined in reporting rule 13a–15(f) or rule 15d–15(f) under the US Securities Exchange Act of 1934):
• Unilever’s management is responsible for establishing and maintaining adequate internal control over financial reporting for the Group;
• Unilever’s management has used the Committee of Sponsoring Organizations of the Treadway Commission (COSO) framework (2013) to evaluate the effectiveness of our internal control over financial. Management believes that the COSO framework (2013) is a suitable framework for its evaluation of our internal control over financial reporting because it is free from bias, permits reasonably consistent qualitative and quantitative measurements of internal controls, is sufficiently complete so that those relevant factors that would alter a conclusion about the effectiveness of internal controls are not omitted and is relevant to an evaluation of internal control over financial reporting;
• Management has assessed the effectiveness of internal control over financial reporting as of 31 December 2019, and has concluded that such internal control over financial reporting is effective. Management’s assessment and conclusion excludes Astrix, Lenor Japan and FruFru from this assessment, as they were acquired on 30 August 2019, 1 October 2019, and 1 October 2019 respectively. These entities are included in our 2019 consolidated financial statements, and together they constituted approximately 0.25% of our total assets as at 31 December 2019 and approximately 0.03% of total turnover for the year ended 31 December 2019; and
• KPMG LLP and KPMG Accountants N.V., who have audited the consolidated financial statements of the Group for the year ended 31 December 2019, have also audited the effectiveness of internal control over financial reporting as at 31 December 2019 and have issued an attestation report on internal control over financial reporting.

De meeste beursvennootschappen benoemen in hun ‘in-control verklaringen’ niet tegen welk normatief referentiekader het functioneren van het systeem van internal control is beoordeeld. Een positieve uitzondering hierop vormt Koninklijke Ahold Delhaize N.V. die in haar verklaring het COSO Internal Control 2013 raamwerk heeft benoemd (zie Figuur 5). Unilever N.V. noemt het referentiekader in haar Management’s Report on Internal Control over Financial Reporting (haar formele verklaring uit hoofde van Section 404 Sox).

Een beursvennootschap behorende tot de overige-fondsen kent naast de beursnotering in Nederland eveneens een beursnotering in Israël. Het bestuursverslag van deze beursvennootschap bevat een verwijzing naar de afgegeven ‘Israeli Sox statement’ over het functioneren van de risicobeheersing van de financiële verslaggevingsrisico’s die is opgenomen in de separate jaarstukken die gepubliceerd worden in verband met de beursnotering in Israël.

5. Conclusies en slotbeschouwing

Uit het onderzoek van 91 jaarverslagen over 2019 van Nederlandse beursgenoteerde vennootschappen blijkt het volgende samenvattende beeld:

  1. (1) De bestuursverklaring uit de Code 2016 wordt op alle vier de sub-elementen voor het overgrote deel (tussen de 86% en 100%) gevolgd door de AEX-, AMX- en AScX-fondsen. Bij de beursvennootschappen behorende tot de overige-fondsen is dat met een score per element van tussen de 36% en 46% significant lager. Slechts twee beursvennootschappen leggen uit en motiveren hun afwijking van Bpb 1.4.3 Code 2016. De meerderheid van de beursvennootschappen die niet (alle) vier sub-elementen opnemen, neemt overigens wel een ‘in-control verklaring’ op in lijn met ofwel de Code 2008, ofwel de Interpretatie Frijns (MCCG 2005), ofwel de Code 2003, ofwel Herzieningsvoorstel Code 2016, dan wel een combinatie hiervan. Deze beursvennootschappen, waaronder vooral overige-fondsen, lijken daarmee dus de stap naar de bestuursverklaring zoals voorgeschreven in de Code 2016, drie jaar na inwerkingtreding van de Code 2016, nog steeds niet te hebben gemaakt.
  2. (2) Van de 91 onderzochte beursvennootschappen nemen er 41 (45%) in het bestuursverslag 2019 een expliciete ‘in-control verklaring’ over het effectief functioneren van de interne risicobeheersings- en controlesystemen op, ondanks dat dit sinds de Code 2016 niet meer wordt gevraagd. Van deze ‘in-control verklaringen’ ziet 39% op de beheersing van het gehele spectrum aan risico’s en 61% heeft een engere reikwijdte door alleen te zien op beheers ing van de financiële verslaggevingsrisico’s. Deze ‘in-control verklaringen’ verschillen naast reikwijdte, ook in bewoordingen en in de factor tijd. Verder is er variatie voor wat betreft de vraag of er al dan niet door de externe accountant assurance verleend wordt. Consistentie is in de ‘in-control verklaringen’ derhalve ver te zoeken; ze zijn een cocktail van toepassing van de best practice bepalingen uit de Code 2003, de Interpretatie Frijns (MCCG 2005), de Code 2008 en het Herzieningsvoorstel Code 2016 (MCCG 2016a).

De uitkomsten van het praktijkonderzoek over de toepassing van de Bpb. 1.4.3 Code 2016 lopen niet synchroon met de discussie over het onderwerp ‘in control’ die op dit moment plaatsvindt bij beleidsmakers, wet- en regelgevers en accountants.

  1. De Monitoring Commissie heeft in 2016 gekozen voor de bestuursverklaring zoals thans verwoord in best practice bepaling 1.4.3 Code 2016. Deze best practice bepaling kent geen expliciete ‘in-control verklaring’; dat wil zeggen dat de Code 2016 niet voorschrijft dat een conclusie over het functioneren van (een onderdeel van) het interne beheersings- en controlesysteem dient te worden opgenomen in de bestuursverklaring. De Monitoring Commissie kwam tot deze inhoud van de huidige bestuursverklaring nadat het Herzieningsvoorstel Code (MCCG 2016a) – waarin werd voorgesteld de ‘in-control verklaring’ over het functioneren van de interne beheersings- en controlesystemen ten aanzien van de financiële verslaggeving volgens de Code 2008 te vervangen door een brede ‘in-control verklaring’ die toe zou zien op het functioneren van die systemen ten aanzien van het gehele spectrum aan risico’s – op de nodige kritiek stuitte. Die kritiek betrof met name dat (i) verbreding zou kunnen leiden tot een uitbreiding van het bestaande ‘controle bouwwerk’ en daarmee tot hogere kosten; (ii) de gekozen bewoordingen een te garantie-achtig karakter aan de verklaring zou geven (enerzijds leidend tot mogelijke aansprakelijkheidsrisico’s voor bestuurders en anderzijds tot mogelijke boilerplate teksten) en (iii) de voorgestelde formulering in internationaal opzicht te veel uit de pas zou lopen.21
  2. De CTA merkte in het Interim-rapport (CTA 2019) op ook voor Nederland meerwaarde te zien in invoering van een ‘in-control verklaring’, af te geven door het bestuur en te controleren door de accountant, naar analogie van voorschriften zoals die gelden in de VS en zoals voorgesteld in het Brydon Report (2019) in de VK. Deze suggestie van de CTA is niet zonder kritiek gebleven. Beleggers reageerden positief terwijl vertegenwoordigers van gecontroleerde ondernemingen kritisch waren. Uit wetenschappelijke kring zijn kritische kanttekeningen geplaatst en is de vraag opgeworpen wat de inhoud en de betekenis van een dergelijke verklaring zouden moeten zijn. Verschillende accountantsorganisaties waren positief, maar benoemden wel de vraag van proportionaliteit. De CTA schreef in haar eindrapport (CTA 2020) op van mening te zijn gebleven dat er voldoende aanleiding is om een scherpere norm te stellen. Het bestuur van de onderneming zou moeten verklaren en onderbouwen dat de interne risicobeheersings- en controlesystemen (ten aanzien van de financiële verslaglegging) van de onderneming naar behoren hebben gefunctioneerd en een dergelijke verklaring zou door de accountant moeten worden gecontroleerd. De uitwerking hiervan vergt volgens de CTA echter nog wel nader onderzoek
  3. In de NBA-brief suggesties wetgeving (NBA 2020a) uit augustus 2020 pleitte de NBA bij het Ministerie van Financiën voor het invoeren van een wettelijke verplichting (voor beursvennootschappen en mogelijk ook andere aan te wijzen vennootschappen met een omzet boven EUR 2 miljard) om een uitspraak te doen over de robuustheid van hun internal controls. Deze verklaring zou volgens de NBA door een externe accountant moeten worden gecontroleerd.

Uit de verschillende voorstellen en reacties daarop, blijkt dat er diverse voor- en tegenargumenten gehanteerd (kunnen) worden in het debat rondom de ‘in-control verklaring’. Het afzetten van de uitkomsten van het door ons verrichte praktijkonderzoek tegen de voorstellen voor (mogelijke) regelgeving leidt er naar onze mening toe dat eerst een aantal vragen dient te worden beantwoord. Zoals de vraag waarom 45% van de beursvennootschappen met een notering aan Euronext Amsterdam wel (nog) een (expliciete) ‘in-control verklaring’ afgeeft, terwijl de Code 2016 dat niet (meer) verlangt. Zijn deze beursvennootschappen blijven hangen in het verleden of zijn ze juist de tijd vooruit? Een andere vraag is hoe overtuigend, in het licht van deze vaststelling, het argument is dat (her)invoering van een ‘in-control statement’ mogelijk leidt tot vergroting van de bestuurdersaansprakelijkheid. En waarom wordt door beleidsmakers aangedrongen op aanvullende wet- en regelgeving als 45% van de beursvennootschappen reeds vrijwillig een ‘in-control verklaring’ opneemt in de bestuursverklaring? Maar de vraag rijst ook in hoeverre gebruikers de huidige ‘in-control verklaringen’, in al zijn varianten, wel op de juiste waarde (kunnen) schatten.

De ‘in-control verklaring’ raakt alle betrokkenen in de externe informatiewaardenketen: opstellers, bestuurders, commissarissen, externe accountants, toezichthouders, politiek, wetgever en last but not least de gebruikers van het jaarverslag. Om te komen tot een onderbouwde keuze voor nieuwe voorschriften rondom verslaggeving over ‘in control’ zijn, is het van belang dat het debat zich niet beperkt tot de vraag wat de ‘in-control verklaring’ dient in te houden, hoe deze moet worden afgegeven en door wie. Minstens zo belangrijk is dat in dit debat aandacht wordt besteed aan de vraag waarom (nieuwe) voorschriften over de ‘in-control verklaring’ ingevoerd (zouden) moeten worden.

Drs. J.I. de Groot RA is werkzaam als senior director bij PwC, commissaris bij drie organisaties in de zorgsector en lid van de werkgroep Jaarverslag/Corporate governance van de Raad voor de Jaarverslaggeving.

Prof. mr. J.B.S. Hijink is als hoogleraar Jaarrekeningenrecht verbonden aan het Van der Heijden Instituut, Onderzoekscentrum Onderneming & Recht, van de Radboud Universiteit Nijmegen, advocaat bij Stibbe en lid van de Raad voor de Jaarverslaggeving.

Dankwoord

De auteurs danken Lars Striekwold, Lars in ‘t Veld en Winand Lazar – allen verbonden aan de Radboud Universiteit –, alsmede Liz Karamat Ali en Bruna Costa Silva – beiden werkzaam bij PwC – voor hun medewerking.

Noten

1

De Code 2016 is wettelijk verankerd in het Besluit van 29 augustus 2017 tot wijziging van het Besluit van 23 december 2004 tot vaststelling van nadere voorschriften omtrent de inhoud van het jaarverslag (Stb. 747) (Stb. 2017, 332). Inwerkingtreding vond plaats per 1 januari 2018; de Code 2016 dient te worden toegepast in verslaggeving die ziet op boekjaren aangevangen op of na 1 januari 2017.

2

De Nederlandse Corporate Governance Code van 9 december 2003, gepubliceerd in Staatscourant 27 december 2004, nr. 250, p. 35.

3

De Nederlandse Corporate Governance Code van 10 december 2008, gepubliceerd in Staatscourant 2009 nr. 18499, 3 december 2009.

4

Er dient immers verklaard te worden dat er geen indicaties zijn dat die systemen in het lopende verslagjaar niet naar behoren zullen werken.

5

Wij merken hierbij op dat de in Bpb II.1.5 Code 2008 opgenomen verklaring betrekking heeft op de werking van de systemen rondom de financiële verslaggevingsrisico’s gedurende het gehele verslagjaar (periode of time statement). De verklaring die ingevolge Section 404a Sox moet worden afgegeven heeft daarentegen betrekking op de stand per einde boekjaar (point-in-time statement). Desalniettemin bood de Code 2008 via de toelichting wel de ruimte aan beurvennootschappen met een Amerikaanse beursnotering om de verklaring uit hoofde van Section 404a Sox te gebruiken als invulling voor de Nederlandse ‘in-control verklaring’.

6

De Monitoring Commissie heeft in de Verantwoording van het werk van de Commissie (MCCG 2016b) beschreven waarom voor de verbreding onvoldoende draagvlak bestond. Volgens respondenten, aldus de Monitoring Commissie, kon de voorgestelde verbreding ‘leiden tot een uitbreiding van het bestaande ‘controle bouwwerk’ en daarmee tot hogere kosten’; ‘gaven de gekozen bewoordingen een te garantie-achtig karakter aan de verklaring, wat de deur open kan zetten voor enerzijds aansprakelijkheidsrisico’s van bestuurders of anderzijds kan leiden tot boilerplate teksten’ en ‘zou de voorgestelde formulering ook in internationaal opzicht te veel uit de pas lopen’ (Verantwoording van het werk van de Commissie (MCCG 2016b), p. 8).

7

Zie ook onze opmerkingen in voetnoot 5.

8

Het Internal Control – Integrated Framework van de Committee of Sponsoring Organizations of the Treadway Commission (https://www.coso.org/Pages/default.aspx).

9

De discussie over verantwoorden over internal control speelt ook in andere landen dan de VS en de VK. Zo kennen bijvoorbeeld Israël en Japan voorschriften die vergelijkbaar zijn met Section 404 Sox. In de King Code IV in Zuid-Afrika worden andere accenten gelegd in het intern en extern verantwoorden over risico’s en de beheersing ervan, waaronder het concept van combined assurance en een rol voor de audit commissie in externe informatievoorziening over dit soort onderwerpen. Het valt buiten het bestek van dit artikel om deze ontwikkelingen hier nader te bespreken.

10

Wat onder disclosure controls and procedures moet worden verstaan is nader uitgewerkt in regelgeving uitgevaardigd door de Securities and Exchange Commission (SEC; de toezichthouder in de VS). Zie: www.sec.gov/rules/final/33-8124.htm. De nadere regels zijn te vinden in Title 17 van de Code of Federal Regulations (hierna: CFR), § 240.13a-15 – Control and procedures.

11

Zie 17 CFR § 229.307 – (Item 307) Disclosure controls and procedures, waarbij wordt verwezen naar de evaluatie in 17 CFR § 240.13a-15(b) of in 17 CFR § 240.15d-15(b).

12

Zie 17 CFR, § 240.13a-15(d), respectievelijk 17 CFR § 240.15d-15(d).

13

Vergelijk 17 CFR § 240.13a-15(c): ‘The framework on which management’s evaluation of the issuer’s internal control over financial reporting is based must be a suitable, recognized control framework that is established by a body or group that has followed due-process procedures, including the broad distribution of the framework for public comment. Although there are many different ways to conduct an evaluation of the effectiveness of internal control over financial reporting to meet the requirements of this paragraph, an evaluation that is conducted in accordance with the interpretive guidance issued by the Commission in Release No. 34-55929 will satisfy the evaluation required by this paragraph.’

14

Zie 17 CFR § 229.308 – (Item 308) Internal control over financial reporting, onderdeel a.

15

Zie 17 CFR § 229.308 – (Item 308) Internal control over financial reporting, onderdeel b. De verplichting dat deze verklaring onderworpen is aan beoordeling door de externe accountant vloeit voort uit Section 404b Sox en de daarop gebaseerde regelgeving.

16

Zie AS 2201: An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements (hierna: AS 2201; https://pcaobus.org/Standards/Auditing/Pages/AS2201.aspx).

17

Zie AS 2201, paragraaf 5.

18

Zie over de verschillen in reikwijdte tussen de Code 2016 en het Besluit inhoud bestuursverslag – het Besluit van 29 augustus 2017 tot wijziging van het Besluit van 23 december 2004 tot vaststelling van nadere voorschriften omtrent de inhoud van het jaarverslag (Stb. 747) (Stb. 2017, 332) – waarmee de Code 2016 is verankerd: Hijink 2020.

19

Zie voor deze terminologie: Bootsma/Hijink, ‘De beurs-nv in den vreemde’ (The Foreign Listed Dutch Company) (https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2378917).

20

De jaarrekeningen van vijf overige beursfondsen zijn niet voorzien van een controleverklaring door een externe accountant. De desbetreffende beursvennootschappen stellen (nog) geen externe accountants te hebben kunnen vinden voor het controleren van hun jaarrekening 2019.

21

Zie hetgeen hiervoor is opgemerkt in noot 6.

Literatuur

  • De Groot JI (2010) Op weg naar een raamwerk voor risicoverslaggeving. Tijdschrift voor Jaarrekeningenrecht 2010 (1/2): 38–47.
  • De Groot JI, Koolstra B (2006) De ‘in-control’ good practice van de Commissie Frijns lost slechts een deel van de puzzel op. Maandblad voor Accountancy en Bedrijfseconomie 80 (7/8): 392–400. https://doi.org/10.5117/mab.80.20831 [MAB 2006]
  • Hijink JBS (2020) Verslaggeving door beursvennootschappen. In: Hijink JBS, Nieuwe Weme MP, Oosterhoff GP, In ’t Veld L (redactie) Handboek Jaarrekeningenrecht (Serie Van der Heijden Instituut nr. 164), Wolters Kluwer, Deventer 233–240.
  • MCCG (Monitoring Commissie Corporate Governance Code) (2005) Interpretatie Frijns. Rapport over de naleving van de Nederlandse corporate governance code, december 2005. https://www.mccg.nl/download/?id=843
  • NBA (Koninklijke Nederlandse Beroepsorganisatie van Accountants) (2020b) Brief van de NBA aan de vaste commissie voor Financiën van de Tweede Kamer, 23 september 2020.
  • Van Daelen MMA, De Groot JI (2014) Risicoverslaggeving in het directieverslag in beweging, Maandblad voor Accountancy en Bedrijfseconomie 2014 88(12): 543–555. https://doi.org/10.5117/mab.88.31213 [MAB 2014]
  • Van Ginneken MJ (2003) De ‘Sarbanes-Oxley Act of 2002’: het Amerikaanse antwoord op Enron (I), Ondernemingsrecht 2003: 63–70.
  • Van Ginneken MJ (2004) De ‘Sarbanes-Oxley Act of 2002’: het Amerikaanse antwoord op Enron (II), Ondernemingsrecht 2004/5: 150–157.

Bijlage 1

Onderzoekspopulatie – onderzochte jaarverslagen 2019
Aalberts N.V. Euronext N.V. NIBC Holding N.V.
ABN ARMO Bank N.V. Fastned B.V. NN Group N.V
Accell Group N.V. Flow Traders N.V Novisource N.V.
Adyen N.V. ForFarmers N.V. NSI N.V.
Aegon N.V. Fugro N.V. OCI N.V.
AFC Ajax N.V. GrandVison N.V. Oranjewoud N.V.
Akzo Nobel N.V. Heijmans N.V. Ordina N.V.
Alfen N.V. Heineken Holding N.V. Pharming Group N.V.
Altice Europe N.V. Heineken N.V. Post NL N.V.
Alumexx N.V. Holland Colours N.V. Prosus N.V.
AMG Advances Metallurgcial N.V. Hydratec Industries N.V. Randstad N.V.
Amsterdam Commodities N.V. ICT Group N.V. Roodmicrotec N.V.
AND Int. Publishers N.V. IMCD N.V. Koninklijke Alhold Delhaize N.V.
Arcadis N.V. ING Groep N.V. SBM Offshore N.V.
ASM International N.V. Intertrust N.V. SIF Holding N.V.
ASML Holding N.V. Kardan NV Signify N.V.
ASR Nederland N.V. Kendrion N.V. Sligro Food Group N.V.
Avantium N.V. Kiadis Pharma NV SnowWorld N.V.
Basic-Fit N.V. Koninklijke BAM Groep N.V. Stern Groep N.V.
BE Semiconductor N.V. Koninklijke Brill N.V. Takeaway.com N.V.
Beter Bed Holding N.V. Koninklijke DSM N.V. Tie Kinetix N.V.
Boskalis Westminster N.V. Koninklijke KPN N.V. TKH Group N.V.
Brunel International N.V. Koninklijke Philips N.V. TomTom N.V.
C/TAC N.V. Koninklijke Vopak N.V. Unilever N.V.
CM.com N.V. Lavide Holding N.V. Value8 N.V.
Corbion N.V. Lucas Bols N.V. Van Lanschot Kempen N.V.
Core Laboratories N.V. MKB Nedsense N.V. Vastned NV
DPA Group N.V. N.V. Koninklijke Porceleyne Fles Wereldhave N.V.
Ease2Pay N.V. NeDap N.V. Wolters Kluwer N.V.
ENVIPCO N.V. New Sources Energy N.V.
Eurocommercial Properties N.V. Neways Electronics Int. N.V.